SKRIFTLIG FRÅGA E-0718/02

från Erik Meijer (GUE/NGL) till kommissionen

(15 mars 2002)

Ämne: Ofrivillig insamling av uppgifter från användarna genom Microsofts NET Passport och åtgärder till skydd för privatlivet

1. Känner kommissionen Microsofts gratistjänst NET Passport som är inriktad på att från on line-konsumenter, i samband med ett köp, ett spel, en beställning eller en banktransaktion fortlöpande samla in personuppgifter, till exempel genom en e-postadress (hotmail), ett chattprogram (MSN Messenger), en butik (Expedia.com), en auktion (QXL), en community (MSN Communities) eller en hotellkedja (Hilton.com), något som får till följd att framför allt de som har en hotmail-adress ger ifrån sig personuppgifter i mängd och massa till obekanta utan att veta om det?

2. Känner kommissionen också till att om man inte anmäler sig hos NET Passport så blir man utestängd från (tjänsterna på) många webbplatser, att man inte kan skriva ut sig, att det enda som med jämna mellanrum avförs är föråldrade uppgifter och att de lösenord som skall uppges och som skall bestå av ett minimum på endast sex tecken delvis är lätta att ta reda på för sådana som utger sig för att vara systemförvaltare eller som har god kunskap om ordböcker?

3. Tycker kommissionen det är acceptabelt att personer som använder offentliga terminaler i universitet, bibliotek eller internetkaféer kan komma att överlåta sina konfidentiella uppgifter till nästa användare ifall de inte loggar ut korrekt, och att tillträde till hyrning av programvara via Internet (användning av Microsofts server i stället för egen hårdskiva) är möjligt endast med hjälp av NET Passport och att Microsoft genom att de facto inneha monopol inom en nära framtid kan börja ta ut höga priser för sådana tjänster som än så länge tillhandahålls kostnadsfritt?

4. Är det i lag tillåtet för ett företag med en dominerande ställning på marknaden att bygga en mycket brett upplagd databas med personuppgifter? Har NET Passport anmälts hos de nationella institutioner som övervakar hur lagstiftningen till skydd för privatlivet tillämpas? Finns det i varje medlemsstat en sådan skyldighet? Gäller denna skyldighet också om databasen inte befinner sig på en EU-medlemsstats territorium?

5. Kan nationella eller europeiska undersökningstjänster utan föregående tillstånd från de berörda parternas sida eller av domare förfoga över de uppgifter som samlats in?

6. Ser kommissionen något skäl till att det skulle behövas mer ingående bestämmelser för att det skall bli definitivt omöjligt för berörda parter att missbruka sin ställning eller undergräva gällande regler om skydd för privatlivet?

Svar från Frederik Bolkestein på kommissionens vägnar

(7 maj 2002)

1. till 3. Kommissionen känner till Microsoft.NET Passport-system och de möjligheter det uppges ha, och delar en del av frågeställarens betänkligheter Kommissionen ger ärendet prioritet och håller tillsammans med de nationella dataskyddsmyndigheterna på att undersöka hur förenligt systemet är med EU:s dataskyddslagstiftning.

4. Ett företag som bedriver verksamhet inom EU är underställt gemenskapens lagstiftning. Det får bygga upp en databas med personuppgifter, förutsatt att det beaktar de skyldigheter som fastställs i Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter(1). Dessa skyldigheter innebär bl.a. att datainsamlingen skall ha ett uttryckligen angivet och legitimt syfte, att de berörda individerna skall vara informerade om den registeransvariges identitet, syftet med insamlingen och sina egna rättigheter, exempelvis rätten att få tillgång till sina personuppgifter. I sådana fall där det krävs samtycke för att uppgifterna skall få behandlas, fastställs i direktivet det inte får råda något tvivel om att den registrerade har samtyckt till detta och att det har skett frivilligt. I direktivet fastställs också att sådana behandlingsåtgärder skall anmälas till de nationella dataskyddsmyndigheterna. Men där medges också några undantag från anmälningsplikten. Kommissionen kan inte för närvarande säga om den berörda behandlingen har anmälts inom gemenskapen.

Frågan om huruvida och i vilken utsträckning direktivet skall gälla för en databas (eller med direktivets formulering en registeransvarig) som befinner sig utanför EU, särskilt när uppgifterna samlas in direkt från de registrerade via Internet, är komplicerad. Kommissionen och de nationella dataskyddsmyndigheterna håller för närvarande på med en noggrann undersökning av detta. Enligt artikel 4.1 c i direktivet skall dess bestämmelser tillämpas när en registeransvarig använder utrustning, vare sig den är automatisk eller inte, som befinner sig på en medlemsstats territorium. Det betyder att direktivet åtminstone i vissa fall skall tillämpas på registeransvariga utanför gemenskapen. Även särskilda nationella regler rörande ett tredje land i vilket den registeransvarige är etablerad kan gälla och därmed tillämpas inom det rättskipningsområdet. I detta avseende har Microsoft meddelat det amerikanska handelsministeriet att det ansluter sig till regler för integritetsskydd vilka följer Safe Harbor-principerna(2).

5. På grundval av rättsliga åtgärder kan kriminalutredare använda uppgifter som insamlats utan föregående medgivande från de registrerade eller domstol, under förutsättning att de berörda individernas rätt till försvar respekteras och att kränkningen av privatlivets helgd är absolut nödvändig med hänsyn till kriminalutredningen. De uppgifter som insamlas under utredningen får dessutom endast användas i den mån det är nödvändigt för dessa syften.

6. I enlighet med artikel 33 i direktivet håller kommissionen på att undersöka hur direktiv 95/46/EG tillämpas, och en rapport kan förväntas föreligga före årets slut. Kommissionen kommer i det sammanhanget att undersöka möjligheten att ändra nuvarande regler.

(1) EGT L 281, 23.11.1995.

(2) Se kommissionens beslut av den 26 juli 2000 enligt Europaparlamentets och rådets direktiv 95/46/EG om huruvida ett adekvat skydd säkerställs genom de principer om integritetsskydd (Safe Harbor Privacy Principles) i kombination med frågor och svar som Förenta staternas handelsministerium utfärdat, EGT L 215, 25.8.2000.